PROCEDE D ' APPARIEMENT D'UN NOMBRE N DE TERMINAUX 
RECEPTEXJRS AVEC UN NOMBRE M BE CARTES DE CONTROLE 
D'ACCES CONDITIONNEL 



DESCRIPTION 

DOMAINE TECHNIQUE 

L ' invention se situe dans le domaine de ia 
securisation de donnees numeriques diffusees et des 
equipements recepteurs destines a recevoir ces donnees 
dans un reseau de distribution de donnees et/ou 
services et se rapporte plus specif iguement a un 
procede d' appariement d'un nombre N d' equipements 
recepteurs de donnees avec un nombre M de modules 
externes de securite, chague equipement recepteur etant 
muni d'un identifiant unique, et chaque module externe 
de securite ayant un identifiant unique. 

L' invention concerne egalement un 

equipement recepteur susceptible d'etre apparie avec 
une pluralite de modules externes de securite pour 
gerer l'acces a des donnees numeriques distribuees par 
un operateur. 

ETAT DE LA TECHNIQUE ANTERIEURE 

De plus en p>lus d'operateurs off rent des 
donnees et services en ligne accessibles au moyen de 
terminaux munis de processeurs de securite. 
Generalement, les donnees et services distribues sont 
embrouilles a 1' emission par des cles secretes et 
desembrouilles a la reception par les memes cles 
secretes prealablement mises a la disposition de 
1 ' abonne . 
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Outre les techniques class iques de controle 
d'acces basees sur 1 ' embrouillage a 1' emission et le 
desembrouillage a la reception des donnees distributes, 
les operateurs proposent des techniques basees sur 
5 1' appariement du terminal de reception avec un 
processeur de securite pour eviter que les donnees et 
services distribues ne soient accessibles a des 
utilisateurs munis d'un terminal vole ou d'une carte 
pirate . . 

10 Le document WO 99/57901 decrit un mecanisme 

d' appariement entre un recepteur et un module de 
securite base, d'une part, sur le chiffrement et le 
dechif f rement des informations echangees entre le 
recepteur et le module de securite par une cle unique 

15 stockee dans le recepteur et dans le module de 
securite, et d' autre part, sur la presence d'un numero 
de recepteur dans le module de securite. 

Un inconvenient de cette technique provient 
du fait que 1 ' association entre un recepteur et le 

20 module de securite qui lui est apparie est etablie a 
priori, et qu'elle ne permet pas a 1 ' operateur de gerer 
efficacement son pare d' equipements recepteurs afin 
d' empecher le detournement de cet equipement pour des 
utilisations f rauduleuses . 

25 Un but du procede d' appariement selon 

1' invention est de permettre a chaque operateur de 
limiter les utilisations de son pare de materiel de 
reception en controlant dynamiquement les 

configurations de 1' equipement recepteur et des modules 

3 0 externes de securite destines a cooperer avec cet 
equipement . 
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EXPOSE DE Ij ' INVENTION 

L' invention preconise un procede 

d' appariement d'un nombre N d' equipements recepteurs de 
donnees avec un nombre M de modules extemes de 
5 securite, chaque equipement recepteur etant muni d'un 
identifiant unique, et chaque module exteme de 
securite ayant un identifiant unique, ce procede 
comport ant une phase de configuration et une phase de 
controle. 

10 Selon 1' invention, la phase de 

configuration comporte les etapes suivantes : 

— memoriser dans chaque module exteme de securite une 
liste d' identif iants d' equipements recepteurs, 

- memoriser dans chaque equipement recepteur une liste 
15 d' identif iants de modules externes de s<§curite, 

et la phase de controle consiste a autoriser I'acces 
aux donnees si 1 ' identif iant d'un module externe de 
securite connecte a un equipement recepteur est present 
dans la liste memorisee dans cet equipement recepteur, 
20 et si 1 ' identif iant dudit equipement recepteur est 
present dans la liste memorisee dans ledit module 
externe de securite, sinon, perturber I'acces auxdites 
donnees . 

Pref erentiellement , la configuration est 
25 mise en ceuvre uniquement lorsque 1 ' utilisateur connecte 
un module externe de securite a un equipement 
recepteur. 

Dans un mode prefere de realisation, le 
procede selon 1' invention comporte une etape dans 
3 0 laquelle 1'operateur transmet a 1 ' equipement recepteur 
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une signalisation pour gerer la phase de contr61e 
comportant au moins l'une des consignes suivantes : 

- activer la phase de controle a une date 
ou apres un delai programmes/ 
5 - desactiver la phase de controle a une 

date ou apres un delai programmes, 

specifier une date absolue 

( respect ivement un delai) a partir de laquelle 
( respect ivement au bout duquel) 1' activation ou la 
10 deactivation de la phase de controle est declenchee, 

annuler ladite date programmee 
(respectivement ledit delai programme) . 

Dans une premiere variante, l'operateur 
transmet en outre a l'equipement recepteur une 
15 signalisation comportant un message de suppression de 
la liste des identifiants memorises dans l'equipement 
recepteur. 

Ledit message de signalisation est transmis 
audit equipement recepteur via un message EMM 

2 0 (Entitlement Management Message, en anglais) specif ique 

a cet equipement recepteur. 

Cette signalisation peut etre transmise a 
un groupe d' equipements recepteurs via un message EMM 
specif ique audit groupe d' equipements recepteurs. 
25 Dans une deuxieme variante, l'operateur 

transmet en outre au module externe de securite une 
signalisation comportant un message de suppression de 
la liste des identifiants memorises dans ce module 
externe de securite. Ledit message de signalisation est 

3 0 transmis audit module externe de securite via un 

message EMM specif ique, et peut etre transmis a. un 



WO 2005/081526 . PCT/FR2005/050102 



5 

groupe de modules extemes de securite via un message 
EMM specifique audit groupe de modules extemes de 
securite . 

Selon une autre caracteristique du procede 
5 selon 1' invention, l'operateur transmet, d'une part, a 
un equipement recepteur la liste des M identifiants des 
modules extemes de securite via un message EMM 

a un module externe de securite la liste des N 
10 identifiants d' equipements recepteurs via un message 
EMM specifique audit module externe *de securite. 

Selon une autre variante, l'operateur 
transmet, d'une part, a un groupe d' equipements 
recepteurs la liste des M identifiants de modules 
15 extemes de securite via un message EMM specifique 
audit groupe d' equipements recepteurs, et d' autre part, 
a un groupe de modules extemes de securite la liste 
des N identifiants d' equipements recepteurs via un 
message EMM specifique audit groupe de modules externes 
20 de securite. 

Dans une autre variante de realisation, 
l'operateur transmet a un groupe d' equipements 
recepteurs un message de signalisation pour la phase de 
controle dans un flux prive qui est traite par un 
25 logiciel dedie executable dans chaque equipement 
recepteur en fonction de 1' identif iant dudit equipement 
recepteur. 

Alternativement , la liste d' identif iants de 
modules extemes de securite est transmise dans un flux 
30 prive a un groupe d' equipements recepteurs et traitee 
par un logiciel dedie executable dans chaque equipement 
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recepteur en fonction de 1 ' identif iant dudit equipement 
recepteur, et la liste d' identif iants d' equipements 
recepteurs est transmise a un groupe de modules 
externes de securite dans un flux prive qui est traite 
5 par un logiciel dedie executable dans chacun desdits 
modules externes de securite ou dans 1 ' equipement 
recepteur auquel est connecte un desdits modules 
externes de securite, en fonction de 1 ' identif iant 
dudit module externe de securite. 

10 Dans un exemple d' application du procede 

selon 1' invention, les donnees numeriques representent 
des programmes audiovisuels distribues en clair ou sous 
forme embrouillee . 

Selon une caracteristique supplement aire, 

15 la liste des identifiants des M modules de securite 
memorises dans un equipement recepteur est cniffree, et 
la liste des identifiants des N equipements recepteurs 
memorises dans un module externe de securite est 
chif f ree . 

2 0 Avantageusement , le procede selon 

1' invention comporte en outre un mecanisme destine a 
empecher 1 ' utilisation d'un EMM transmis a un meme 
module externe de securite ou a un meme equipement 
recepteur . 

25 Les messages EMM specifiques a un module de 

securite ou a un equipement recepteur presentent le 
format suivant : 

30 
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EMM-U_section() { 
table_id = 0x88 
section_syntax_indicator 
DVB_r e served 
ISO_reserved 
EMM - U_s e c t i on_l eng t h 
unique_adress_f ield 
for { i = C ; i<N; i++) { 
EMM__da t a_by t e 



= 0 



8 bits 
1 bit 

1 bit 

2 bits 
12 bits 
40 bits 

8 bits 



10 



} 



} 



lies messages EMM concernant tous les 
modules externes de securite ou tous les equipements 
15 recepteurs presentent le format suivant : 
EMM-G_section() { 

table_id = 0x8A ou 0x8B 8 bits 

section_syntax__indicator =0 1 bit 
DVB_re served 1 bit 

2 0 ISO_reserved 2 bits 

EMM-G_section_length 12 bits 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

25 } 



30 



Les messages EMM specif ique a un sous- 
groupe de modules externes de securite ou un sous- 
groupe d' equipements recepteurs presentent le format 
suivant : 



WO 2005/081526 



PCT/FR2005/050102 



8 



EMM-S_section () { 

table_id = 0x8E 8 bits 
section_syntax_indicator =0 1 bit 

DVB_re served 1 bit 

5 ISO_reserved 2 bits 

EMM-S_section_length 12 bits 

shared__address_f ield 24 bits 

reserved 6 bits 

data_f ormat 1 bit 

10 ADF__scrambling_f lag 1 bit 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 

15 Le procede selon 1' invention est mis en 

osuvre dans un systeme de controle d'acces comportant 
une plurality d' equipements recepteurs ayant chacun un 
identifiant unique et susceptibles de cooperer avec une 
pluralite de modules externes de securite ayant chacun 

2 0 un identifiant unique, chaque module externe de 

securite comportant des informations relatives aux 
droits d'acces d' un abonne a des donn^es numeriques 
distribuees par un operateur, ce systeme comportant 
egalement une plateforme de gestion commerciale 
25 communi quant avec lesdits equipements recepteurs et 
avec lesdits modules externes de securite. Ce systeme 
comporte en outre : 

un premier module agence dans ladite 
plate- forme de gestion commerciale et destine a generer 

3 0 des requetes d 1 appariement , 



- et un deuxieme module agence dans lesdits 
equipements recepteurs et les modules externes de 
securite et destine a traiter lesdites requites pour 
preparer une configuration de 1 ! appariement . 

Le procede selon 1' invention est utilisable 
dans une architecture dans laquelle l'equipement 
recepteur comporte un decodeur et le module externe de 
securite comporte une carte de controle d'acces dans 
laquelle sont memorisees des informations relatives aux 
droits d'acces d'un abonne a des donnees numeriques 
distribuees par un operateur. Dans ce cas, 
1 ' appariement est effectue entre ledit decodeur et 
ladite carte. 

Alternativement , le procede selon 

1' invention peut etre utilise dans une architecture 
dans laquelle l'equipement recepteur comporte un 
decodeur et le module externe de securite comporte une 
interface de securite amovible munie d'une memoire non 
volatile et destinee a cooperer, d'une part, avec le 
decodeur, et d' autre part, avec une pluralite de cartes 
de controle d'acces condi.tionnel pour gerer 1'acces a 
des donnees numeriques distribuees par un operateur . 
Dans ce cas, 1 ' appariement est effectue entre ledit 
decodeur et ladite interface de securite amovible. 

Le procede selon 1' invention peut egalement 
etre utilise dans une architecture dans laquelle 
l'equipement recepteur comporte un decodeur muni d'une 
interface de securite amovible ayant une memoire non 
volatile et destinee a cooperer, d'une part, avec ledit 
decodeur, et d' autre part, avec une pluralite de cartes 
de contrdle d'acces conditionnel . Dans ce cas, 



1 ' appariement est realise entre ladite interface de 
securite amovible et lesdites cartes de controle 
d' acces . 

L ' invention cone erne egalement un 

equipement recepteur susceptible d'§tre apparie avec 
line plural it e de modules ext ernes de securite pour 
gerer 1' acces a des donnees numeriques distributes par 
un operateur. Cet equipement recepteur comporte : 

une memoire non volatile destinee a 
memoriser une liste de modules externes de securite. 

- des moyens pour verifier si 1 ' identif iant 
d'un module externe de securite connecte audit 
equipement est present dans la liste .memorisee dans 
ladite memoire non volatile. 

Dans un premier mode de realisation, cet 
equipement recepteur comporte un decodeur et le module 
externe de securite est une carte de controle d' acces 
comportant des informations relatives aux droits 
d'accds d'un abonne auxdites donnees numeriques, 
1 ' appariement etant dans ce cas effectue entre ledit 
decodeur et ladite carte. 

Dans un deuxieme mode de realisation, cet 
equipement recepteur comporte un decodeur et le module 
externe de securite est une interface de securite 
amovible munie d'une memoire non volatile et destinee a 
cooperer, d'une part, avec ledit decodeur, et d' autre 
part, avec une pluralite de cartes de controle d' acces 
conditionnel, pour gerer 1' acces auxdites donnees 
numeriques, 1 ' appariement etant dans ce cas effectu^ 
entre ledit decodeur et ladite interface de securite 
amovible . 



WO 2005/081526 



PCT/FR2005/050102 



Dans un troisieme mode de realisation, cet 
equipement recepteur comporte un decodeur muni d'une 
interface de securite amovible ayant une meraoire non 
volatile et destinee a cooperer, d'une part, avec ledit 
5 decodeur, et d' autre part, avec une pluralite de cartes 
de controle d'acces conditionnel et 1 ' appariement est 
realise entre ladite interface de securite amovible et 
lesdites cartes de controls d'acces. 

L' invention concerne egalement un decodeur 
10 susceptible de cooperer avec une pluralite de modules 
externes de securite pour gerer 1'acces a des 
programmes audiovisuels distribues par ion operateur, 
chaque module externe de securite ayant un identifiant 
unique et comportant au moins un algorithme de 
15 traitement de donnees. Ce decodeur comporte : 

une memoire non volatile destinee a 
memoriser une liste de modules externes de securite, 

- des moyens pour verifier si 1 ' identifiant 
d'un module externe de securite connect e audit decodeur 

2 0 est present dans la liste memorisee dans ladite memoire 

non volatile. 

Dans une premiere variante, lesdits modules 
externes de securite sont des cartes de controle 
d'acces dans lesquelles sont memorisees des 
25 informations relatives aux droits d'acces d'un abonne a 
des donnees numeriques distributes par un operateur. 

Dans une deuxieme variante, lesdits modules 
externes de securite sont des interfaces de securite 
amovibles comportant une memoire non volatile et 

3 0 destinees a cooperer, d'une part, avec le decodeur, et 

d' autre part,- avec une pluralite de cartes de controle 
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d'acces conditionnel pour gerer l'acces a des donnees 
numeriques distributes par un operateur. 

L' invention concerne egalement une 
interface de securite amovible destinee a cooperer, 
5 d'une part, avec ma equipement recepteur, et d' autre 
part, avec une pluralite de cartes de controle d'acces 
conditionnel, pour gerer l'acces. a des donnees 
numeriques dis tributes par un operateur, chaque carte 
ayant un identifiant unique et comportant des 
10 informations relatives aux droits d'acces d'un abonne 
auxdites donnees numeriques . 

Cette interface comporte : 

une memoire non volatile destinee a 
memoriser une liste de cartes d'abonnes, 
15 - des moyens pour verifier si 1 ' identifiant 

d'une carte associee a ladite interface est present 
dans la liste memorisee dans ladite memoire non 
volatile. 

Dans un premier exemple de realisation, 
20 1' interface amovible est une carte PCMCIA (pour 
Personal Computer Memory Card International 
Association) comportant un logiciel de desembrouillage 
de donnees numeriques. 

Dans un deuxieme exemple de realisation, 
25 1' interface amovible est un logiciel executable soit 
dans 1 1 equipement recepteur soit dans une carte de 
controle d'acces. 

Le procede est pilote par un programme 
d' ordinateur executable sur N equipements recepteurs 
3 0 susceptibles d'etre apparies avec M modules externes de 
securite ayant chacun un identifiant unique et dans 
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lesquels sont stockees des informations relatives aux 
droits d'acces d'un abonne a. des donnees numerigues 
distributes par un operateur, ce programme comporte des 
instructions pour memoriser dans chaque module exteme 
5 de securite une liste d' identif iants d'une partie ou de 
1' ensemble des N equipements recepteurs, et des 
instructions pour memoriser dans chaque equipement 
recepteur une liste d ; identif iants d'une partie ou de 
1' ensemble des M modules externes de securite, des 

10 instructions pour controler 1 ' identif iant d'un module 
externe de securite connecte a un equipement recepteur 
et 1' identif iant dudit equipement recepteur, et des 
instructions pour interdire l'acces auxdites donnees si 
1' identif iant du module externe de securite connecte a 

15 1' equipement recepteur n'est pas present dans la liste 
d' identif iants prealablement memorisee dans cet 
equipement recepteur ou si 1 ' identif iant dudit 
equipement recepteur n'est pas present dans la liste 
d' identif iants prealablement memorisee dans ledit 

2 0 modul e ext e rne de s e cur i t e . 

BREVE DESCRIPTION DES DESSINS 

D'autres caracteristiques et avantages de 
1' invention ressortiront de la description qui va 
suivre, prise a. titre d'exemple non limitatif en 
25 reference aux figures annexees dans lesquelles : 

la figure 1 represente une premiere 
architecture systeme pour la mise en ceuvre de 
1 ' appariement selon 1 ' invention , 

la figure 2 represente une deuxieme 

3 0 architecture systeme pour la mise en oeuvre de 

1' appariement selon 1' invention, 



WO 2005/081526 



PCT/FR2005/050102 



14 



la figure 3 represente une troisieme 
architecture systeme pour la mise en oeuvre de 
1' appariement selon 1 ' invention; 

- la figure 4 represente la structure des 
5 messages EMM_decodeur de configuration et d' utilisation 

des f onctionnalites d' appariement selon 1' invention, 

. - la figure 5 represente la structure des 
messages EMM_carte de configuration des f onctionnalites 
d' appariement selon 1' invention, 
10 - la figure 6 est un diagramme fonctionnel 

representant schematiquement les etats de la fonction 
d' appariement embarquee dans un equipement recepteur, 

- la figure 7 represente un or gani gramme 
illustrant un mode particulier de mise en oeuvre de 

15 1 ' appariement selon 1 ' invention . 

EXPOSE DETAILLE DE MODES DE REALISATION PARTICULIERS 

L' invention va maintenant etre decrite dans 
le cadre d'une application dans laquelle un operateur 
diffusant des programmes audiovisuels met en oeuvre le 
. 20 proc§de" selon 1'invention pour limiter 1 ' utilisation de 
son pare d' equipements recepteurs a ses propres 
abonnes . 

Le pro'cede peut etre mis en oeuvre dans 
trois architectures distinctes illustrees 

25 respect ivement par les figures 1, 2 et 3 . Les elements 
identiques dans ces trois architectures seront designes 
par des references identiques. 

La gestion de 1 » appariement est realisee a 
partir d'une plateforme commerciale 1 controlee par 
3 0 1 1 operateur et communi quant avec 1 1 equipement recepteur 
installe chez 1 1 abonne . 
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Dans la premiere architecture, illustree 
par la figure 1, l'equipement recepteur comporte un 
decodeur 2 dans lequel est installe un logiciel de 
controle d' acces 4, et le module externe de securite 
est une carte de controle d' acces 6 comportant des 
informations relatives aux droits d' acces d' un abonne 
aux programmes audiovisuels diffuses. Dans ce cas, 
1-' appariement est effectue entre le decodeur 2 et la 
carte 6 . 

Dans la deuxieme architecture illustree par 
la figure 2, l'equipement recepteur comporte un 
decodeur 2, non dedie au controle d' acces, et le module 
externe de securite est une interface de securite 
amovible 8 munie d'une memoire non volatile et dans 
laquelle est installe le logiciel de controle d' acces 
4. Cette interface 8 coopere, d'une part, avec ledit 
decodeur 2, et d' autre part, avec une carte 6 parmi une 
pluralite de cartes de controle d' acces conditionnel , 
pour gerer 1 ' acces auxdites programmes audiovisuels. 

Dans cette architecture, 1 ' appariement est 
realise entre ladite interface de securite amovible 8 
et ladite carte de controle d' acces 6. 

Dans la troisieme architecture, illustree 
par la figure 3, l'equipement recepteur comporte un 
decodeur 2 dans lequel est installe un logiciel de 
controle d' acces 4 et qui est cormecte a une interface 
de securite amovible 8 ayant une memoire non volatile 
et destinee a. cooperer, d'une part, avec ledit decodeur 
2, et d' autre part, avec une carte 6 parmi une 
pluralite de cartes de controle d' acces conditionnel. 
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Dans ce cas, 1' appariement est effectue 
entre le decodeur 2 et 1' interface de securite amovible 
8. 

La configuration et 1 ' utilisation par 
1'operateur de 1 ' appariement resultent de commandes 
emises par la plateforme de gestion commerciale 1 
installee chez 1'operateur. 

La description qui suit concerne la mise en 
oeuvre de 1' invention dans le cas d' appariement de N 
decodeurs dedies 2 avec M cartes 6. Les etapes mises en 
ceuvre s'appliquent aux trois architectures decrites ci- 
dessus „ 

A la sortie d'usine des N decodeurs 2, 
comme apres un telechargement du logiciel de controle 
d'acces 4 dans chaque decodeur 2, tous les traitements 
de 1' appariement sont inactif s . En particulier : 

- aucun identifiant de carte n'est memorise 
dans les decodeurs 2 , 

le controle par les decodeurs 2 des 
identifiants des cartes 6 n'est pas actif, 

le controle par les decodeurs ^2 de la 
presence de leur propre identifiant dans les cartes 6 
n'est pas actif. 

De meme, a la sortie d'usine des M cartes 
6, aucun identifiant de decodeur 2 n'est memorise dans 
les cartes 6. 

L' appariement peut alors §tre configure et 
utilise dans les N decodeurs 2 et dans les M cartes 6 
par une requite de 1'operateur via la plateforme de 
gestion 1 qui emet : 
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vers les N decodeurs 2 des messages 
EMM_decodeur dedies a 1 ' appariement . 

vers les M cartes 6 des messages 
EMM_carte dedi§s a 1 ' appariement . Ces messages 
5 EMM_carte sont emis vers les cartes 6 directement ou 
integres dans des messages EMM_decodeurs . 

Les messages EMM_decodeurs permettent 
d'effectuer les t aches suivantes t 

activer dans les N decodeurs 2 la 
10 fonction d' appariement . Dans ce cas chaque decodeur 
verifie si 1 ' identif iant d'une carte 6 inseree dans le 
lecteur de carte du decodeur fait partie des 
identifiants qu'il a memorises et que 1 ' identif iant de 
ce decodeur 2 fait partie des identifiants de decodeurs 
15 memorises dans cette carte 6. Si ce n'est pas le cas, 
une perturbation est appliquee dans l'acces aux 
donnees . 

desactiver dans les N decodeurs 2 la 
fonction d' appariement . Dans ce cas, chaque decodeur 2 
2 0 ne controle ni son identif iant ni celui de la carte. 

- charger dans les N decodeurs 2 la liste 
des M identifiants de cartes 6 appariees a ces 
decodeurs . 

- effacer les identifiants de cartes 6 deja 
25 memorises dans les N decodeurs 2. 

Les messages EMM__carte permettent de : 

- charger dans les M cartes 6 la liste des 
N identifiants de decodeurs 2 apparies a ces cartes. 

- effacer les identifiants des decodeurs 2 
30 deja memorises dans les M cartes 6. 
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ADRESSAGE PES MESSAGES EMM 

Les messages EMM permettant la 
configuration et 1' utilisation des f onctionnalites 
liees a 1 ' appariement selon le procede de 1' invention 
5 sont emis dans une voie EMM d'un multiplex numerique 
tel que defini par le standard MPEG2/Systeme et les 
standards DVB/ETSI. 

Cette voie peut diffuser des EMM 
referencant une adresse de carte (s) permettant de les 
10 destiner directement : 

- a une carte particuliere, 

- aux cartes d'un groupe particulier, 

- a toutes les cartes, 

Cette voie peut diffuser egalement des EMM 
15 referencant une adresse de decodeur (s) permettant de 
les destiner directement : 

- a un decodeur particulier, 

- a un groupe particulier de decodeurs, 

- a tous les decodeurs, 

2 0 Les messages destines a une carte 

particuliere ou a un decodeur particulier sont des EMM- 
U presentant la structure suivante : 

EMM-U_section() { 

table__id = 0x8 8 8 bits 
25 section_syntax_indicator = 0 1 bit 

DVB_re served 1 bit 

ISO_reserved 2 bits 

EMM-U_section_JLength 12 bits 

unique_adress_f ield 4 0 bits 
30 for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 



WO 2005/081526 



PCT7FR2005/050102 



19 



Le parametre unique_adress_f ield est 
I'adresse unique d'une carte dans un EMM-U carte ou 
l'adresse unique d' un decodeur dans un EMM-U decodeur. 

Les messages destines a. des cartes d'un 
5 groupe particulier de cartes ou a des decodeurs d'un 
groupe particulier de decodeurs sont des EMM-S 
presentant la structure suivante : 

T-I+. X*. K /-I _ _ J_ J I \ f 

JSFuVi-S seCLiua w \ 

table_id - 0x8E 8 bits 

10 section_syntax_indicator =0 1 bit 

DVB_r e s e rve d 1 bit 

ISO_reserved 2 bits 

EMM-S_section_length 12 bits 

shared_address_f ield 24 bits 

15 reserved 6 bits 

data_format 1 bit 

ADF_scrambling_f lag 1 bit 

for (i=0 ; i<N; i++) { 

EMM_da t a_byt e 8 bits 

20 } 
} 

Le parametre share d_adress_f ield est 
l'adresse du groupe de cartes dans un EMM-S carte ou 
l'adresse du groupe de decodeurs dans un EMM-S 
25 decodeur. Un decodeur d'un groupe ou une carte d'un 
groupe est concerne(e) par le message si en outre il 
(elle) est explicitement designe (e) dans un champ ADF 
contenu dans EMM_data_byte et pouvant etre chiffre 
selon 1' information ADF_scrambling_f lag . 
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Les messages destines a toutes les cartes 
ou a tous les decodeurs sont des EMM-G presentaxit la 
structure suivante : 

EMM-G_section () { 
5 table_id = 0x8A ou 0x8B 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-G_section_length 12 bits 

10 for (i=0; i<N; i++) { 

EMM_da t a_byt e 8 bits 

} 

} 

CONTENU DES MESSAGES EMM decodeur 

15 La figure 4 illustre schemat iguement le 

contenu des donnees EMM_data_byte d'un message 
EMM_decodeur d' appariement . Ce contenu depend de la 
f onction a executer par un decodeur 2 pour la 
configuration ou 1 ' utilisation de 1 ' appariement . 

20 Les donnees EMM_data_byte incluent les 

parametres fonctionnels suivants : 

ADF 20 : complement d'adressage d'un 
decodeur dans un groupe de decodeurs ; ce parametre est 
utile en cas d'adressage par groupe sinon il peut etre 

25 omis ; il peut etre chiffre. 

SOID 22 : identification de message 
d' appariement selon 1' invention, parmi d'autres types 
de message. 

- OPID/NID 24 : identification du pare de 
3 0 decodeurs et du signal de l'operateur. 
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TIME 2 6 : donnees d'horodatage de 
1' emission du message ; ce parametre est utilise pour 
eviter le rejeu du message par un meme dec'odeur 

- CRYPTO 28 : identification des fonctions 
5 de protection cryptographique appliguees aux parametres 

FUNCTIONS 32 ; les parametres FUNCTIONS peuvent etre 
chiffres et proteges par une redondance cryptographique 
30 . 

FUNCTIONS 3 2 : ensemble des parametres 
10 decrivant la configuration et 1 ' utilisation de 
1 ' appariement . 

- STB ID 34 : adresse unique du decodeur 
concerae par le message. Ce parametre est present dans 
un EMM-U decodeur, sinon il peut etre omis . 

15 Les parametres fonctionnels ci-dessus sont 

organises librement dans les donnees EMM_data__byte d'un 
message EMM_decodeur . Une implementation preferee est 
la combinaison de ces parametres par structure T L V 
(Type Longueur Valeur) . 

2 0 CONTENU DES MESSAGES EMM carte 

La figure 5 illustre schematiquement le 
contenu des donnees EMM__data__byte d'un message 
EMM_Carte d' appariement . Ce contenu pertnet d'inscrire, 
modifier ou effacer une liste des identifiants de 

2 5 terminaux. 

Les donnees EMM_data_byte incluent les 
parametres fonctionnels suivants : 

- SOID 4 0 : identification de l'operateur. 

ADF 42 : complement d'adressage d'une 

3 0 carte dans un groupe de cartes ; ce parametre est utile 
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en cas d'adressage par groupe sinon il peut etre omis ; 
il peut etre chiffre. 

- CRYPTO 44 : identification des fonctions 
de protection crypt ographi que appliquees au parametre 

5 LDA 48 et aux autres parametres 50 ; les parametres 48 
et 5 0 peuvent etre chiffres et proteges par une 
redondance crypt ographi que 46. 

- LDA 48 (Liste de decodeurs autorisees) : 
ce parametre contient la liste des identifiants de 

10 decodeurs avec lesquels la carte peut fonctionner. 

Les donnees EMM_da t a_byt e peuvent en outre 
contenir d' autres parametres 5 0 concernant des 
fonctions de la carte autres que 1' appariement . 

Les parametres presents dans les donnees 
15 EMM_data_byte sont organises librement dans ces donnees 
d'un message EMM carte. Une implementation preferee est 
la combinaison de ces parametres par structure T L V 
(Type Longueur Valeur) . 

CONFIGURATION ET UTILISATION DE L ' APPARIEMENT 
20 L' ensemble de parametres FUNCTIONS 32 dans 

un EMM_decodeur decrit la configuration et 
1' utilisation de 1 ' appariement selon 1' invention. Cet 
ensemble de parametres est une combinaison quelconque 
des parametres fonctionnels suivants : 
2 5 - MODE : ce parametre active, desactive ou 

reinitialise la solution d' appariement selon 
1' invention. Apres desactivation # le decodeur ne 
controle pas 1 ' identif iant d'une carte inseree mais 
conserve la liste des identifiants memorises. Apres 
30 reinitialisation, le decodeur ne controle pas 
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1' identif iant d'une carte inseree et n'a plus 
d' identif iants de cartes memorises 

LCA (Liste de cartes autorisees) : c.e 
parametre charge dans un decodeur la liste des 
5 identif iants de cartes avec lesguelles il peut 
f onctionner 

Perturbation : ce parametre decrit la 
perturbation a appliguer par le decodeur dans 1 ' acces 
aux donnees en cas de carte non appariee avec le 
10 decodeur 

- Date/Delai : ce parametre caracterise la 
date ou le delai d' activation ou de desactivation de 
1 ' appariement 

Les parametres fonctionnels ci-dessus sont 

15 organises librement dans 1' ensemble de parametres 
FUNCTIONS 32 . Une implementation preferee est la 
combinaison de ces parametres par structure T L V (Type 
Longueur Valeur) . 

En outre, dans certains types de service 

20 tels qu' une forme d' appariement un decodeur avec une 
carte, un EMM_decodeur peut transporter un ou plusieurs 
EMM_cartes. Dans ce cas, l'EMM_carte (les EMM_cartes) 
est (sont) inclus dans 1' ensemble de parametres 
FUNCTIONS 32 de facon clairement identifiable par le 

25 decodeur qui pourra extraire et fournir a la carte 
inseree le (les) EMM_carte (s) . Une implementation 
preferee d' inclusion d' EMM_carte dans 1' ensemble de 
parametres FUNCTIONS 32 d'un EMM_decodeur est 1 'usage 
d'une structure T L V particuliere contenant le (les) 

30 EMM_carte (s) avec toutes les donnees d'adressage 
af f erentes . 
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Une autre utilisation d'EMM_carte dans un 
EMM_decodeur permet de memoriser dans la carte que cet 
EMM_decodeur a deja ete traite par le decodeur, afin 
d' eviter le rejeu sur un autre decodeur et permettant 
le traitement unique de cet EMM par un seul decodeur ; 
semantiquement ces donnees signifient « Deja traite » 
et sont verifiees par le logiciel de controle d'acces 4 
du decodeur 2 quand il traite cet EMM. Une realisation 
preferee de ce mecanisme d'anti-rejeu est 1 ' inscription 
de ces donnees dans un bloc de donnees FAC (Facilities 
Data Block en anglais) de la carte. 
FONCTIONHEMENT 

Le f onctionnement de 1' appariement selon 
1' invention va maintenant etre decrit par reference aux 
figures 6 et 7 . 

La figure 6 est un diagramme fonctionnel 
illustrant schematiquement les etats de la fonction 
d' appariement du logiciel de controle d'acces 4 
embarque dans un decodeur 2 . 

La fonction d' appariement est dans 1'etat 
inactif 60 quand le logiciel de controle d'acces 4 
vient d'etre installe ou telecharge 61 ou quand il a 
recu de la plateforme de gestion 1 un ordre de 
desactivation de 1' appariement 62 ou de 
reinitialisation de 1 ' appariement 64. Dans cet etat le 
logiciel de controle d'acces 4 accepte de fonctionner 
avec une carte 6 inseree dans le decodeur 2 sans 
verifier son appariement avec cette carte. 

Pour effectuer 1' activation de 

1' appariement entre M decodeurs 2 et N cartes 6, 
l'operateur active via la plateforme de gestion 1 : 
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- un traitement 70 pour definir le mode 
d' appariement (= actif), et le type de 
perturbation applicable dans l'acces aux donnees 
en cas d' echec de 1 ' appariement , 

5 - un traitement 72 pour definir la liste LCA a 

charger dans ces N decodeurs des identifiants des 
M cartes autorisees, 

- un traitement 74 pour definir la liste LDA a 
charger dans ces M cartes des identifiants des N 

10 decodeurs autorises 

En fonction de ces informations la 
plateforme de gestion 1 genere et emet (fleche 76) : 

• au moins un message EMMjiecodeur pour charger 
dans la memoire non volatile des N decodeurs 2 

15 la liste LCA des cartes autorisees 6 . 

• au moins un message EMM_carte pour charger dans 
la memoire non volatile des M cartes 6 la liste 
LDA des decodeurs autorises 

• au moins un message EMM_decodeur pour charger 
2 0 les parametres de configuration dans la memoire 

non volatile des N decodeurs 2. 

La fonction d' appariement dans un decodeur 
2 passe a 1'etat actif 78. 

Lors d'une activation de la fonction 
25 d' appariement dans un decodeur 2 avec chargement de la 
liste LCA des cartes 6 autorisees et/ou de la liste LDA 
des decodeurs 2 autorises, la prise en compte effective 
par un decodeur 2 des parametres de configuration peut 
etre differee dans le temps selon le parametre 
30 Date/Delai pour garantir le chargement effect if de la 
liste LCA des cartes 6 autorisees dans un decodeur 2 et 
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de la liste LDA des decodeurs 2 autorises dans une 
carte 6 . 

Lors d'une reactivation de la fonction 
d' appariement dans un decodeur 2, si la liste LCA des 
5 cartes 6 autorisees et/ou la liste LDA des decodeurs 2 
autorises ne necessite pas de modification, les EMM 
correspondants ne sont ni generes ni emis. 

L'operateur peut desactiver (etape 80) 
1 ' appariement dans un decodeur 2, a partir la 
10 plateforme de gestion 1 qui genere et emet (fleche 82) 
un message EMM adressant le ou les decodeurs 2 
concernes et contenant un ordre de desactivation sans 
effacement du contexte d' appariement 62 ou un ordre de 
RAZ du contexte d' appariement 64. 
15 La fonction d' appariement dans un decodeur 

2 passe a 1'etat inactif 60. 

La prise en compte effective par un 
decodeur 2 de 1' ordre de desactivation peut §tre 
differee dans le temps selon le parametre Date/D61ai. 

2 0 Quel que soit 1 ' etat inactif 60 ou actif 78 

de la fonction d' appariement , elle peut recevoir de la 
plateforme de gestion 1 une liste de cartes 6 
autorisees LCA par EMM decodeur (etape 72) ou une liste 
de decodeurs 2 autorises LDA (etape 74) . 
25 La prise en compte d'une des M cartes 6 par 

la fonction d' appariement d'un des N decodeurs 2 est 
decrite dans 1 ' or gani gramme de la figure 7. 

A 1' insertion (etape 100) d'une carte 6 
dans le decodeur 2, le logiciel de controle d'acces 4 

3 0 embarque dans le decodeur teste (etape 102) si la 

fonction d' appariement est dans l'etat actif 78. 



Si la fonction d' appariement dans le 
decodeur est dans l'etat inactif 60, le decodeur 
accepte de fonctionner avec la carte inseree (108) . 

Si la fonction d' appariement dans le 
decodeur est dans l'etat actif 78, le logiciel de 
controle d'acces : 

• lit 1' identifiant de la carte inseree et 
verifie (etape 104) si cet identifiant est dans 
la liste des cartes 6 autorisees memorisees 
dans le decodeur 2, 

• lit dans la carte inseree la liste des 
decodeurs autorises et verifie (etape 106) si 
1 ' identifiant du decodeur 2 est present dans 
cette liste, 

Les tests 104 et 106 peuvent etre executes 
dans n'importe quel ordre . 

Si les resultats de ces deux tests 
d' identif iants 104 et 106 sont positifs, le logiciel de 
controle d'acces 4 accepte de fonctionner avec la carte 
6 inseree (etape 108). L'acces aux programmes diffuses 
est alors possible, sous reserve de conformite des 
autres conditions d'acces attachees a ces programmes. 

Si le resultat d'au raoins un des tests 104 
et 106 n'est pas positif, le logiciel de controle 
d' acces 4 refuse de fonctionner avec la carte 6 inseree 
et applique (etape 110) la perturbation dans l'acces 
aux donnees telle que definie par l'operateur. Une 
telle perturbation peut consister a bloquer l'acces aux 
programmes diffuses. Elle peut etre accompagnee de 
1'affichage sur l'ecran du terminal auquel est associe 
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le decodeur d'un message invitant I'abonne a inserer 
"one autre carte 6 dans le decodeur 2 . 

Quand la carte 2 est extraite (etape 112) 
du decodeur 2, le logiciel de controle d'acces passe en 
5 attente de 1' insertion d'une carte (etape 100) 

La perturbation appliquee a 1' etape 110 
dans 1'acces aux donnees en cas de defaut d' appariement 
peut etre de differente nature telle que : 

- Arret audio et video sur les chaines 
10 cryptees (obtenu par non soumission des ECM a la carte 

pour calcul des CW) / 

- Arret audio et video sur les chaines en 
clair et analogiques (obtenu par message au 
middleware) ; 

15 - Envoi d'un message au middleware du 

terminal (exemple : message Open TV) . 

Cette perturbation peut etre utilisee 
egalement pour provoquer le blocage de decodeurs voles. 

Dans le cas deer it dans la figure 2 ou le 

20 logiciel de controle d'acces 4 est execute dans 
1' interface amovible 8 connectee a un decodeur 2, 
1' automate decrit dans la figure 4 et 1 ' or gani gramme 
decrit dans la figure 5 s'appliquent directement au 
logiciel de controle d'acces embarque 4 dans cette 

25 interface amovible 8 . 
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REVEND I CAT I ONS 

1. Procede d' appariement d'un norabre N 
d' equipements recepteurs (2) de donnees avec un nombre 
M de modules extemes de securite (6, 8) , chaque 

5 equipement recepteur (2) etant muni d'un identifiant 
unique, et chaque module externe de securite (6, 8) 
ayant un identifiant unique, procede caracterise en ce 
qu'il comporte une phase de configuration comportant 
les etapes suivantes : 
10 - memoriser dans chaque module externe de securite (6, 
8) une liste d' identif iants d' equipements recepteurs 
(2) , 

— memoriser dans chaque equipement recepteur (2) une 
liste d' identif iants de modules externes de securite 
15 (6, 8), 

et une phase de controle consistant a autoriser I'acces 
aux donnees si 1 ' identif iant d'un module externe de 
securite (6, 8) connecte a un equipement recepteur (2) 
est present dans la liste memorisee dans cet equipement 
20 recepteur (2), et si 1 ' identif iant dudit equipement 
recepteur (2) est present dans la liste memorisee dans 
ledit module externe de securite (6, 8) , sinon, 
perturber I'acces auxdites donnees. 

2. Procede selon la revendication 1, 
25 caracterise en ce que la configuration est mise en 

ceuvre uniquement lorsque 1 'utilisateur connecte un 
module externe de securite (6, 8) a un equipement 
recepteur (2) . 

3. Procede selon la revendication 1, 
3 0 caracterise en ce qu'il comporte en outre une etape 

dans laquelle l'operateur transmet a 1' equipement 
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recepteur (2) , une signalisation pour gerer la phase de 
controle comportant au moins l'une des consignes 
suivantes : 

- activer la phase de controle a une date 
5 ou apres un delai programmes , 

desactiver la phase de controle a une 
date ou apres un delai programmes, 

specifier une date absolue 

( respect ivement un delai) a partir de laquelle 
10 (respect ivement au bout duquel) 1' activation ou la 
deactivation de la phase de contr61e est declenchee, 

annul er ladite date programme e 
(respect ivement ledit delai programme) . 

4. Procede selon la revendication 1, 
15 caracterise en ce que I'operateur transmet en outre a 

l'equipement recepteur (2) une signalisation comportant 
un message de suppression de la liste des i dent if iants 
memorises dans l'equipement recepteur (2). 

5 . Procede selon la revendication 1, 
20 caracterise en ce que I'operateur transmet en outre au 

module externe de securite (6, 8) une signalisation 
comportant un message de suppression de la liste des 
i dent if iants memorises dans ce module externe de 
securite (6, 8) . 

25 6. Procede selon la revendication 1, 

caracterise en ce que I'operateur transmet a un 
equipement recepteur (2) la liste des M identif iants 
des modules externes de securite (6, 8) via un message 
EMM specif ique audit equipement recepteur (2) . 

30 7. Procede selon la revendication 1, 

caracterise en ce que I'operateur transmet a un module 
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externe de securite (6, 8) la liste des N identifiants 
d' equipements recepteurs (2) via un message EMM 
specifique audit module externe de securite (6, 8). 

8. Procede selon la revendication 1, 
5 caracterise en ce que l'operateur transmet a un groupe 
d' equipements recepteurs (2) la liste des M 
identifiants de modules externes de securite (6, 8) via 
un message EMM specifique audit groupe d' equipements 
recepteurs (2) . 

10 9. Procede selon la revendication 1, 

caracterise en ce que l'operateur transmet a un groupe 
de modules externes de securite (6, 8) la liste des N 
identifiants d' equipements recepteurs (2) via un 
message EMM specifique audit groupe de modules externes 

15 de securite (6, 8) . 

10. Procede selon les revindications 3 ou 
4, caracterise en ce que l'operateur fournit a un 
equipement recepteur (2) ledit message de signalisation 
via un message EMM specifique audit equipement 

2 0 recepteur (2) . 

11. Procede selon les revendications 3 ou 
4, caracterise en ce que l'operateur fournit a un 
groupe d' equipements recepteurs (2) ledit message de 
signalisation via un message EMM specifique audit 

25 groupe d' equipements recepteurs (2). 

12 . Procede selon la revendication 5 , 
caracterise en ce que l'operateur fournit a un module 
externe de securite ledit message de signalisation via 
un message EMM specifique audit module externe de 

3 0 securite (2) . 
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13. Procede selon la revendication 5, 
caracterise en ce que l'operateur fournit a un groupe 
de modules externes de securite (6, 8) ledit message de 
signalisation via un message EMM specifique audit 

5 groupe de modules externes de securite (6, 8) . 

14. Procede selon les revendi cat ions 3 ou 
4, caracterise en ce que l'operateur transmet a un 
groupe d' equipements recepteurs (2) dans un flux prive 
un message de signalisation pour la phase de controle, 

10 ledit flux prive etant traite par un logiciel dedie 
executable dans chaque equipement recepteur (2) en 
fonction de 1 ' identif iant dudit equipement recepteur 
(2) . 

15. Procede selon la revendication 1, 
15 caracterise en ce que la liste d' identif iants de 

modules externes de securite (6, 8) est transmise dans 
un flux prive a un groupe d' equipements recepteurs (2) 
et traitee par un logiciel dedie executable dans chaque 
equipement recepteur (2) en fonction de 1 ' identif iant 
20 dudit equipement recepteur (2) . 

16. Procede selon la revendication 1, 
caracterise en ce que la liste d' identif iants 
d' equipements recepteurs (2) est transmise a un groupe 
de modules externes.de securite (6, 8) dans un flux 

2 5 prive qui est traite par un logiciel dedie executable 

dans chacun desdits modules externes de securite (6, 8) 
ou dans 1' equipement recepteur (2) auquel est connecte 
chacun desdits modules externes de securite (6, 8), en 
fonction de 1 ' identif iant dudit module externe de 

3 0 securite (6, 8) . 
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17. Procede selon la revendication 1, 
caracterise en ce que les donnees numeriques sont 
distributes en clair ou sous forme embrouillee. 

18. Procede selon la revendication 17, 
5 caracterise en ce que les donnees numeriques 

representent des programmes audiovisuels . 

19. Procede selon la revendication 1, 
caracterise en ce que la liste des identifiants des M 
modules de securite memorises dans un equipement 

10 recepteur (2) est chiffree. 

20. Procede selon la revendication 1, 
caracterise en ce que la liste des identifiants des N 
equipements recepteurs (2) memorises dans un module 
externe de securite (6, 8) est chiffree. 

15 21. Procede selon l'une des revendications 

6 a 13, caracterise en ce qu'il comporte en outre un 
mecanisme destine a empecher 1' utilisation d'un EMM 
transmis a un meme module externe de securite (6, 8) ou 
a un meme equipement recepteur (2) . 

20 22. Procede selon les revendications 6, 7, 

10 ou 12, caracterise en ce que ledit EMM presente le 
format suivant : 

EMM-U_section() { 

table_id = 0x88 8 bits 
25 section_syntax_indicator =0 1 bit 

DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-U_section__length 12 bits 

unique_adress_f ield 4 0 bits 
30 for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 
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23. Procede selon les revendi cat ions 8, 9, 
11 ou 13, caracterise en ce que ledit message EMM 
concerne tous les modules externes de securite (6, 8) 
ou tous les equipements recepteurs (2) et presente le 

5 format suivant : 

EMM-G_section ( ) { 

table__id = 0x8A ou 0x8B 8 bits 

section__syntax_indicator = 0 1 bit 

DVB_re served 1 bit 

10 ISO_reserved 2 bits 

EMM-G_section_length 12 bits 
for (i=0; i<N; i++) { 

EMM_dataJoyte 8 bits 

} 

15 } 

24. Procede selon les revendi cations 8, 9, 
11 ou 13, caracterise en ce que ledit message EMM est 
specif ique a un sous-groupe de modules externes de 
securite (6, 8) ou un sous-groupe d' equipements 

2 0 recepteurs (2) et presente le format suivant : 

EMM-S_section () { 

table_id = 0x8E 8 bits 

section_syntax_indicator =0 1 bit 
DVB_ reserved 1 bit 

25 ISO_reserved 2 bits 

EMM-S_section_length 12 bits 

shared_address_f ield 24 bits 

reserved 6 bits 

data_format 1 bit 

3 0 ADF_scrambling_f lag 1 bit 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 
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25. Procede selon l'une quelconque des 
revendications 1 a. 24, caracterise en ce que 
1' equipement recepteur (2) comporte un decodeur et le 
module de securite externe (6, 8) comporte une carte de 
5 controle d'acces (6) dans laquelle sont memorisees des 
informations relatives aux droits d'acces d'un abonne a 
des donnees numeriques distributes par un operateur, et 
en ce que 1 ' appariement est effectue entre ledit 
decodeur et ladite carte (6) . 

10 26. Procede selon l'une quelconque des 

revendications 1 a 24, caracterise en ce que 
1' equipement recepteur (2) comporte un decodeur et le 
module extejrne de securite (6, .8) comporte une 
interface de securite amovible (8) munie d'une memo ire 

15 non volatile et destinee a cooperer, d'une part, avec 
le decodeur, et d' autre part, avec une pluralite de 
cartes de controle d'acces (6) conditionnel pour gerer 
l'acces a des donnees numeriques distributes par un 
operateur, et en ce que 1' appariement est effectue 

2 0 entre ledit decodeur et ladite interface de securite 

amovible (8) . 

27. Procede selon l'une quelconque des 
revendications 1 a 24, caracterise en ce que 
1' equipement recepteur (2) comporte un decodeur muni 
25 d'une interface de securite amovible (8) ayant une 
memoire non volatile et destinee a cooperer, d'une 
part, avec ledit decodeur, et d' autre part, avec une 
pluralite de cartes de controle d'acces (6) 
conditionnel et en ce que 1 ' appariement est realise 

3 0 entre ladite interface de securite amovible (8) 

lesdites cartes de controle d'acces (6). 
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28. Equipement recepteur susceptible d'etre 
apparie avec une plurality de modules externes de 
securite (6, 8) pour gerer l'acces a des donnees 
numeriques distributes par un operateur, caracterise en 

5* ce qu' il comporte : 

une memo ire non volatile destinee a 
memoriser une liste de modules externes de securite (6, 
8) , 

- des moyens pour verifier si 1 ' identif iant 
10 d'un module externe de securite (6, 8) connect^ audit 
equipement est present dans la liste memorisee dans 
ladite memoire non volatile. 

29. Equipement selon la revendication 28, 
caracterise en ce qu'il comporte un decodeur et en ce 

15 que le module externe de securite (6, 8) est une carte 
de contr61e d' acces (6) comportant des informations 
relatives aux droits d' acces d'un abonne auxdites 
donnees numeriques, 1 ' appariement etant effectue entre 
ledit decodeur et ladite carte (6) . 

20 30. Equipement selon la revendication 28, 

caracterise en ce qu'il comporte un decodeur et en ce 
que le module externe de securite (6, 8) est une 
interface de securite amovible (8) munie d'une memoire 
non volatile et destinee a cooperer, d'une part, avec 

25 ledit decodeur, et d' autre part, avec une pluralite de 
cartes de controle (6) d' acces conditionnel , pour gerer 
l'acces auxdites donnees numeriques, 1 ' appariement 
etant effectue entre ledit decodeur et ladite interface 
de securite amovible (8) . 

30 31. Equipement selon la revendication 28, 

caracterise en ce qu'il comporte un decodeur muni d'une 
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interface de securite amovible (8) ayant une memoire 
non volatile et destinee a cooperer, d'une part, avec 
ledit decodeur, et d' autre part, avec une pluralite de 
cartes de controle (6) d'acces conditionnel et en ce 
5 que 1 ' appariement est realise entre ladite interface de 
securite amovible (8) et lesdites cartes de controle 
d' acces (6) . 

32 . Decodeur susceptible de cooperer avec 
une pluralite modules extemes de securite (6, 8) pour 

10 gerer 1' acces a des programmes audiovisuels distribues 
par un op£rateur, chague module externe de securite (6, 
8) ayant un identifiant unique et comportant au moins 
un algorithme de traitement de donnees, decodeur 
caracterise en ce qu'il comporte : 

15 - une memoire non volatile destinee a 

memoriser une liste de modules extemes de securite (6, 
8) , 

- des moyens pour verifier si 1 ' identifiant 
d'un module externe de securite (6, 8) connecte audit 

2 0 decodeur est present dans la liste memorisee dans 

ladite memoire non volatile. 

33. Decodeur selon la revendication 32, 
caracterise en ce que lesdits modules externes de 
securite ( 6 , 8 ) sont des cartes de contrSle d' acces ( 6 ) 

25 dans lesquelles sont memorisees des informations 
relatives aux droits d'acces d'un abonne a des donnees 
numeriques distributes par un operateur. 

34. Decodeur selon la revendication 32, 
caracterise en ce que lesdits modules extemes de 

3 0 securite (6, 8) sont des interfaces de securite 

amovible (8) comportant une memoire non volatile et 



WO 2005/081526 PCT/FR2005/050102 

• i » 



38 

destines a cooperer, d'une part, avec le decodeur, et 
d' autre part, avec une pluralite de cartes de controle 
(6) d'acces conditionnel pour gerer l'acces a des 
donnees numeriques distributes par un operateur. 
5 35. Interface de securite amovible destinee 

a cooperer, d'une part, avec un equipement recepteur 
(2), et d' autre part, avec une pluralite de cartes de 
controle (6) d'acces conditionnel, pour gerer l'acces a 
des donnees numeriques distributes par un operateur, 

10 chaque carte ayant un identifiant unique et comportant 
des informations relatives aux droits d'acces d'un 
abonne auxdites donnees numeriques, interface 
caracterisee en ce qu'elle comporte : 

une memo ire non volatile destinee a 

15 memoriser une liste de cartes d'abonnes, 

- des moyens pour verifier si 1 ' identifiant 
d'une carte associee a ladite interface est present 
dans la liste memorisee dans ladite memoire non 
volatile . 

2 0 36. Interface selon la revendication 3 5 

caracterisee en ce qu'elle consiste en une carte PCMCIA 
comportant un logiciel de desembrouillage de donnees 
numeriques . 

37. Interface selon la revendication 35 
25 caracterisee en ce qu'elle consiste en un logiciel. 

38. Systeme de controle d'acces comportant 
une pluralite d' equipements recepteurs (2) ayant chacun 
un identifiant unique et susceptibles de cooperer avec 
une pluralite de modules externes de securite (6, 8) 

3 0 ayant chacun un identifiant unique, chaque module 

exteme de security (6, 8) comportant des informations 
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relatives aux droits d'acces d'un abonne a des donnees 
numeriques distributes par un operateur, ledit systeme 
comportant egalement une plateforme de gestion 
commerciale (1) communiquant avec lesdits equipements 
5 recepteurs (2) et avec lesdits modules extemes de 
securite (6, 8), caracterise en ce qu'il comporte en 
outre : 

un premier module age nee dans ladite 
plate-forme commerciale (1) et destine a generer des 

10 requetes d ' appariement , 

- et un deuxieme module agence dans lesdits 
equipements recepteurs (2) et dans lesdits modules 
ext ernes de securite (6, 8) et destine a traiter 
lesdites requetes pour preparer une configuration de 

15 1 ' appariement . 

39. Programme d'ordinateur executable sur N 
equipements recepteurs (2) susceptibles de cooptrer 
avec M modules de securite (6, 8) ayant chacun un 
identifiant unique et dans lesquels sont stockees des 

20 informations relatives aux droits d'acces d'un abonne a 
des donnees numeriques distributes par un operateur, 
caracterise en ce qu'il comporte des instructions pour 
memoriser dans chaque module externe de securite (6, 8) 
une liste d' identif iants d'une partie ou de 1' ensemble 

25 des N equipements recepteurs 2) , et des instructions 
pour memoriser dans chaque equipement recepteur (2) une 
liste d' identif iants d'une partie ou de l'ensemble des 
M modules de securite (6, 8), des instructions pour 
controler 1 ' identif iant d'un module de securite 

30 connecte a un equipement recepteur (2) et 1 ' identif iant 
dudit equipement recepteur (2) , et des instructions 
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pour interdire l'acces auxdites donnees si 
1' i dent if iant du module de securite (6, 8) connecte a 
1' eguipement recepteur (2) n'est pas present dans la 
liste d' identif iants prealablement memorisee dans cet 
5 equipement recepteur 2) ou si 1 ' identif iant dudit 
equipement recepteur (2) n'est pas present dans la 
liste d' identif iants prealablement memorisee dans ledit 
module exteme de securite (6, 8) . 
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